La Directive sur la sécurité des réseaux et de l'information (NIS2), transposée en droit belge le 26 avril 2024, répartit les secteurs régulés en deux annexes. Annexe I (Essentiel) : énergie ; transport (aérien, ferroviaire, routier, maritime) ; banque ; infrastructure des marchés financiers ; santé ; eau potable ; eaux usées ; infrastructure numérique (fournisseurs Domain Name System, datacenters, clouds, content delivery networks, services de confiance) ; gestion des services TIC (Managed Service Providers et Managed Security Service Providers) ; administration publique ; espace. Annexe II (Important) : postal et courrier ; gestion des déchets ; chimie ; alimentation ; fabrication ; fournisseurs numériques ; organisations de recherche.
Trois catégories sont systématiquement mal lues. Le Centre pour la Cybersécurité Belgique (CCB) les encadre strictement :
"Fournisseurs numériques" (Annexe II) désigne les places de marché en ligne (plateformes de vente multi-vendeurs de type Bol.com), les moteurs de recherche en ligne et les services de réseaux sociaux. Cela N'INCLUT PAS le Software-as-a-Service business-to-business, les logiciels métier verticaux, les e-shops que vous opérez vous-même ou les sites web que vous construisez pour des clients.
"Infrastructure numérique" (Annexe I) désigne les fournisseurs Domain Name System, les registres de domaines de premier niveau, les fournisseurs de cloud public (vendant du compute évolutif à la demande), les opérateurs de datacenters, les fournisseurs de content delivery network, les prestataires de services de confiance et les fournisseurs de communications électroniques. Cela NE COUVRE PAS une entreprise qui héberge simplement sa propre application dans le cloud.
"Gestion des services TIC" (Annexe I) désigne les MSP et MSSP qui gèrent l'informatique ou la sécurité d'autres organisations comme activité commerciale principale. Cela NE COUVRE PAS les éditeurs de logiciels qui se trouvent à supporter leur propre produit, ni les équipes IT internes.
Si aucune de ces définitions strictes ne correspond, choisissez "Aucun des ci-dessus" et laissez l'analyse chaîne d'approvisionnement de notre rapport détecter les obligations indirectes provenant de vos clients. Le raisonnement complet figure dans le rapport que nous produisons.